JWT Decoder

Een JWT (JSON Web Token) is een compact, URL-veilig token dat wordt gebruikt voor authenticatie en informatie-uitwisseling tussen partijen. Door een JWT te decoderen kun je de header (token-type en algoritme), payload (claims en gebruikersgegevens) en handtekening bekijken. Ontwikkelaars decoderen JWT's om verificatieproblemen op te lossen, gebruikersrechten te inspecteren of de inhoud van het token te begrijpen tijdens de ontwikkeling.

Plak gewoon je JWT-token in het invoerveld en klik op 'JWT decoderen'. De tool zal het token onmiddellijk ontleden en de header en payload in leesbaar JSON-formaat weergeven. Je ziet alle claims, verlooptijden, informatie over de uitgever en eventuele aangepaste gegevens die in het token zijn opgeslagen.

Nee, deze decoder geeft alleen de inhoud van de header en payload van de JWT weer - hij verifieert de handtekening niet. Voor het verifiëren van de handtekening is de geheime of publieke sleutel nodig, die nooit gedeeld of ingevoerd mag worden in online tools. Verifieer voor de veiligheid JWT's altijd server-side met behulp van de juiste bibliotheken met uw geheime sleutels.

Een gedecodeerd JWT toont meestal: het token-type en het ondertekeningsalgoritme in de header; en beweringen zoals 'issuer' (uitgever), 'sub' (subject), 'aud' (audience), 'exp' (vervaltijd), 'iat' (issued at), en eventuele aangepaste beweringen in de payload. Deze informatie helpt je te begrijpen wie het token heeft uitgegeven, wanneer het verloopt en welke rechten of gegevens het bevat.

JWT's client-side decoderen is over het algemeen veilig omdat JWT's ontworpen zijn om door iedereen gelezen te kunnen worden - ze zijn base64 gecodeerd, niet versleuteld. Ontcijfer JWT's die zeer gevoelige gegevens bevatten echter nooit met openbare online tools. Deze tool verwerkt tokens volledig in je browser zonder gegevens naar servers te sturen, maar vermijd het gebruik ervan met productietokens die gevoelige informatie bevatten.

JWT's volgen een standaardstructuur met drie base64-gecodeerde delen, gescheiden door punten: header.payload.signature. De header beschrijft het type token en het algoritme, de payload bevat de claims en gegevens en de handtekening zorgt ervoor dat er niet met het token geknoeid is. Deze structuur maakt JWT's compact en URL-veilig met behoud van beveiliging.

Gedecodeerde JWT's bevatten een 'exp'-claim (vervaldatum), wat een Unix-tijdstempel is. Vergelijk deze tijdstempel met de huidige tijd - als de huidige tijd groter is dan de exp-waarde, is het token verlopen. De decoder geeft deze tijdstempel weer in een leesbaar formaat om u te helpen de geldigheid van het token te controleren.

iat' (issued at) geeft aan wanneer het token is aangemaakt, 'exp' (expiration time) geeft aan wanneer het token verloopt en 'nbf' (not before) geeft aan wanneer het token geldig wordt. Deze tijdstempels helpen de levenscyclus van tokens te controleren en voorkomen hergebruik van tokens in verschillende tijdsperioden.

Ja! OAuth 2.0 toegangstokens en OpenID Connect ID-tokens gebruiken vaak het JWT-formaat. Het decoderen ervan onthult scopes, permissies, gebruikersidentifiers en authenticatiedetails. Dit is van onschatbare waarde voor het debuggen van authenticatiestromen, het verifiëren van verleende toestemmingen en het oplossen van integratieproblemen.

Een JWT met 'algoritme: geen' (ook wel een onbeveiligd JWT genoemd) heeft geen handtekeningverificatie. Dit is gevaarlijk in productie en duidt vaak op een beveiligingslek. Legitieme JWT's moeten algoritmen zoals RS256, HS256 of ES256 gebruiken. Als je 'geen' ziet, onderzoek dit dan onmiddellijk, want het kan duiden op een beveiligingsprobleem.